公式Claude Code拡張機能にSSHバックドアが仕込まれる——Cursor Marketplaceで発覚
Official Claude Code extension compromise
PhorionがCursor Marketplace上の公式Claude Code for VS Code拡張機能（バージョン2.1.313）にバックドアを検出した。拡張機能が読み込まれると同時に、macOS・Linux・WindowsへSSH鍵と永続化の仕組みを仕込み、攻撃者のサーバーへ逆トンネルを張る。ただしmacOSでは権限チェックの実装ミスによりSSH有効化の手順がスキップされるという不具合も判明している。該当バージョンの利用有無を早急に確認すべきだ。
「SSHがオフかどうかを確認する権限がない」という状態を「SSHはすでにオン」と事実上解釈してしまっている。
HNでの議論
425- felixrieseberg
AnthropicのFelixです。
この件についてはCursorと協力して対応を進めていますが、Anthropicのシステムや従業員のラップトップが侵害されたわけではありません。悪意のある人物がCursorのマーケットプレイスへのアクセスを利用して、改ざんされたClaude Code拡張機能のコピーを公開したのです。これは当社がビルドしたものでも公開したものでもありません。公式チャネルで配布されているバージョンは影響を受けておらず、影響を受けるのはCursorユーザーのみです。
- AdrianCX
https://www.reuters.com/business/media-telecom/cursor-says-u...
> Cursorは、この拡張機能はAnthropicによって開発されたものではなく、悪意を持って改変された拡張機能が木曜日の太平洋時間午前2時27分頃から午後1時35分頃までマーケットプレイス上で公開されていたと述べた
つまり、これはAnthropicのものなのか、そうではないのか、そしてなぜこんなことが起きたのか？
- yubblegum
元のPhorionのレポートは本当にここに載せるべきだ。何が起きたのか正確に詳述している。要するに、彼らはauthorized_keysにSSHキーを追加しただけなんだ。
- helsinkiandrew
> 昨日、Anthropicが侵害され、何千万人もの開発者がClaudeへのアクセスに使っているCursor拡張機能が、SSHリバースバックドア経由でリモートアクセストロイの木馬を配布していた
それは少し誇張だ：誰かがバックドア入りのClaude Code VS Code拡張機能のバージョンをCursorマーケットプレイスでリリースしただけだ：
> AnthropicのClaude Code拡張機能の悪意を持って改変されたバージョンが、Cursor VS Code拡張機能マーケットプレイスで入手可能になっていた
https://cursor.com/blog/claude-code-extension-security-notic...
- xx_ns
重要なのは、これがOpen VSX拡張機能レジストリ上のClaude Code拡張機能に影響した（そしてそれによってCursorマーケットプレイスにも影響した）という点だ。現在わかっている限りでは、公式マーケットプレイス上のビルドはクリーンだった/クリーンだ。
編集：今となっては、本当にそうなのか確信が持てない。見る限り、すべての記事がCursorマーケットプレイスとOpen VSXを具体的に挙げているが、公式のMicrosoftレジストリには明示的に言及していない。
編集2：侵害されたバージョン（2.1.313）は、公式のMicrosoftレジストリでは公開されたことがないようだ。ドキュメント[1]によれば、未公開のバージョンでも発見可能であるべきだ：
> 拡張機能を非公開にしても、マーケットプレイスは拡張機能の統計を保持します。拡張機能は公開されて発見可能なままで、既存のAPIを通じて利用可能です。
[1]: https://code.visualstudio.com/api/working-with-extensions/pu...
- orlp
つまり、これがOpenAIに起きたことなら、どこでも即座に自動更新されていたってこと？VS Codeには「自動更新遅延」があり、私は1週間に設定しているが、たった今知った（https://code.visualstudio.com/updates/v1_123）：
> 注：この遅延は、Microsoft、GitHub、OpenAIなどの信頼されたパブリッシャーの拡張機能には適用されません。これらの拡張機能は即座に更新され続けます。
どのパブリッシャーを「信頼」するかすら設定できないなんて…
- 1shooner
Cursorがこれを報告している：
https://cursor.com/blog/claude-code-extension-security-notic...
公式のBinanceアカウントと思われるものも報告している：
https://www.binance.com/en/square/post/10-30-2026-claude-cod...
- anon-3988
最近気づいたんだが、Claude CodeやCodexを使っている人はみんな、事実上毎日RCEコードを実行しているようなものだ（私も含めて）。「curl | bashを実行するときは気をつけろ！」なんて言ってられない。セキュリティとプライバシーって本当は何を意味するのか、考えさせられる。私の知る限り、これらのCLIは私のディレクトリ全体を密かにスクレイピングしていたかもしれない。誰がチェックしているんだ？
- rietta
パブリッシャーはCursorに配布する前にパッケージに署名しないのか？Cursor自体はパッケージの整合性を適用・強制しているのか？
- paxy
つまり、ElonがTwitterでBinanceをからかっていたら、実は彼自身の会社がハッキングされて盗難につながったってこと？